Evaluacin de sistemas de cmputo Temas XIII Administracin

Evaluación de sistemas de cómputo Temas XIII. Administración del riesgo Edna Martha Miranda Chávez Sergio Fuenlabrada Velázquez

XIII. Administración del riesgo n n n Definición de riesgo Riesgos en el desarrollo del proyecto Estimación del riesgo n Identificación, cuantificación y evaluación del riesgo n Administración del riesgo Actividades para la evaluación y control de riesgos n n n Recomendaciones para disminuir los riesgos Decisión de cancelar o continuar con el sistema

Definición de riesgo Durante el desarrollo, implantación u operación del sistema de cómputo se pueden presentar situaciones o factores que afecten o que pongan en peligro el éxito de dicho sistema, a esto se le denomina riesgo. Se puede llegar incluso a una situación en donde se debe decidir si continuar o cancelar el sistema de computo. Los riesgos están siempre presentes, el objetivo consiste en establecer si se corren con ellos o no.

Definición de Riesgo - Probabilidad de una contingencia o daño. Diccionario de la lengua española, Oceano Riesgo - Peligro, contratiempo, daño, siniestro eventual. Diccionario Larousse Correr riesgos peligroso. exponerse a un riesgo, arriesgado, Diccionario Larousse Arriesgado – Aventurado, exponerse, osado. Diccionario de la lengua española y Diccionario Larousse

Definición de Riesgo “. . Una gestor de proyectos (informático) debe ser una persona con la habilidad de saber qué es lo que va a ir mal antes de que ocurra…. Y con el coraje para hacer estimaciones cuando el futuro no es claro…”. Roger Pressman “Lo que puede ir mal, irá mal”. Ley de Murphy Mientras más grande el proyecto, más elementos hay que cuidar y por lo tanto aumentan los riesgos,

0% Proyectos abajo del promedio Oportunidad de cumplir la planeación y el presupuesto Proyectos promedio 100% Enfoque de desarrollo rápido Riesgos en el desarrollo del proyecto Proyectos de misión crítica o ineficientes Proyectos con burocracia excesiva 5% 25% 50% Proporción del presupuesto destinado a la administración de riesgos

Riesgos en el desarrollo del proyecto • Planeación del control de calidad • Pruebas • Revisiones Detección Costo/tiempo para corregir Especificación de requerimientos Especificación del diseño del producto Especificación detallada del diseño del producto Construcción Fase en la que se genera el defecto Especificación Construcción Mantenimiento de del diseño del detallada del requerimientos producto diseño del producto Fase en la que se detecta el defecto Mientras más temprana la fase de generación del defecto y más tardía su detección el costo de la corrección es mayor

Naturaleza del producto Estimación - Incertidumbre ¿Pero cómo Estimación Diseño se reduce? detallado Estimación id rt ce In Diseño del producto Estimación um Especificación de requerimientos e br Estimación Definición de producto +

Métodos orientadas a la planificación Estrategias para disminuir la incertidumbre Métodos orientadas a la velocidad Métodos orientadas a la planificación de riesgos Métodos orientadas a la visibilidad

Estrategias Mejor planificación posible Evitar errores clásicos Establecer Bases del desarrollo Utilizar Métodos orientados a la Gestión de planificación riesgos Establecer la Los cuatro pilares del desarrollo rápido

Estrategias Mejor ible s o p n ació planific Bases del Gestión Métodos desarrollo de orientados a la riesgos planificación El efecto de tener errores clásicos Evitar errores clásicos Métodos orientados a la planificación El efecto de no tener bases de desarrollo ni gestión de riesgos

Estimación del riesgo Para determinar y analizar los riesgos se pueden utilizar diversas técnicas como la de árboles de fallos, la lógica de tiempo real, el modelo de suceso – acción, los modelos de redes de preti, entre otros. Las técnicas en términos generales buscan el establecer los riesgos durante el desarrollo, implantación y operación del sistema. Y establecer de forma anticipada si se corre con esos riesgos o se decide abandonar el proyecto. Es importante resaltar que cuando un riesgo se identifica de forma temprana es más fácil de controlar, y de establecer acciones para atacarlos en el momento que este se llegue a presentar.

Estimación del riesgo Los factores son situaciones que se pueden presentar que generen un peligro para el sistema de computo, por ejemplo: n n n n Incremento en los costos de hardware o software en el mercado, lo que genera que se sobrepase el costo estimado. Incremento en los costos de hardware y software en el mercado, lo que genera que los beneficios no compensen la inversión. Cambios en las prioridades de actividades a desarrollar. Perdida del apoyo de la alta dirección. Disminución he incluso eliminación del presupuesto. Disminución del personal del área informática. Desviación del personal involucrado en el proyecto a otra actividad. Etc.

Identificación, cuantificación y evaluación de riegos Factores de riesgo externos Estos están relacionados con los ocho elementos del cambio, el entorno. Factores de riesgo interno Situaciones que se pueden presentar en la organización que ponen en peligro el éxito del sistema de computo en la etapa de desarrollo, implantación u operación. Estos factores pueden ser técnicos, económicos, políticos, sociales, etc. A continuación se establecen algunos ejemplos de riesgos internos de forma breve.

Identificación, cuantificación y evaluación de riegos La identificación y cuantificación de riesgos se efectúa en la fase de planeación. Esta tarea no es fácil, ya que implica conocer los factores externos e internos de la organización que pueden afectar al proyecto, el problema y su entorno, las implicaciones que conlleva el desarrollo y su implantación.

Identificación, cuantificación y evaluación de riegos Los pasos para la identificación de los riesgos son muy parecidos a continuación se listan los pasos establecidos por Pressman: . n n n Identificación de la información y procesos que pudieran tener riesgo. Cuantificar la probabilidad de ocurrencia de cada riesgo. Cuantificar el impacto de cada riesgo. Clasificar a los riesgos como alto, medio o bajo (con base a la probabilidad de ocurrencia y su impacto ). Clasificar al sistema en términos de riesgo (alto, medio, bajo). Formular las medidas de seguridad necesarias, acciones que eviten que el riesgo se haga realidad, dependiendo del nivel de seguridad requerido.

Identificación, cuantificación y evaluación de riegos Justificar el costo de implantar dichas medidas de seguridad. Esto se puede hacer respondiendo a las siguientes preguntas: n ¿Qué sucedería si no se puede usar el sistema y cuánto tiempo se podría estar sin él? , (impacto del riesgo). n ¿Existe(n) procedimiento(s) alterno(s)? n ¿Qué se puede hacer en caso de emergencia? . n Etc. .

Tipos de riesgos

a) Factores de riesgo técnicos. Se pueden vislumbrar los riesgos haciendo algunas preguntas como: n ¿Se puede fabricar el producto con algunos cambios, y ser satisfactorio para el cliente y funcionar de una manera fiable? n ¿El tiempo para finalizar la gestión del producto no sobrepasa los 6 meses? Porque entre más largo más dificultades ofrece. n ¿La situación que impide la correcta gestión del producto es permanente o eventual? . n ¿Si la situación es eventual que seguridad existe que se restablezcan en un corto tiempo? n ¿Si es eventual se puede correr el riesgo y continuar con el producto? . n ¿Si es permanente se pueden efectuar modificaciones a la gestión del producto y generar un producto satisfactorio? , etc. Es conveniente ver la información que se presenta en la síntesis de Boloix

b) Factores de riesgo económicos Se pueden vislumbrar los riesgos haciendo algunas preguntas como: n ¿La creación del producto implica un beneficio sustancial para la empresa y por lo tanto vale la pena correr los riesgos o buscar recursos económicos para continuar con la gestión del producto? . n ¿Los beneficios en aumento de la productividad del cliente (usuario final) son significativos y vale la pena correr los riesgos o buscar recursos económicos para continuar con la gestión del producto? . n ¿Se pueden obtener los recursos mínimos para continuar con la gestión del producto y darle mantenimiento? .

c) Factores de riesgo políticos Se pueden vislumbrar los riesgos haciendo algunas preguntas como: n n n ¿Permitirá la empresa la continuación de la gestión y la operación del producto? . ¿Permitirá la empresa que el cliente opere el producto? , etc.

d) Factores de riesgo social Se pueden vislumbrar los riesgos haciendo algunas preguntas como: n n ¿El producto establece un cambio, estilo de vida o necesidad social? . ¿Cuánto tiempo se utilizara el producto 6 meses o 6 años? , etc. Se debe tomar en cuenta que el continuar con la gestión del producto presentará situaciones adversas y por lo tanto requiere mayor: n n n Apego a los planes y presupuestos. Control de las actividades y situaciones de riesgo. Integración y apoyo de los jefes inmediatos y del cliente (usuario final). Factores y situaciones (internas y externas) que ayudan positivamente y negativamente a que esta situación se genere. Actividades (internas y externas) en proyectos pasados que se realizaron bien y fuera de lo esperado que generaron problemas y fueron causal, ayudaron a que se diera esta situación.

Administración del riesgo

Administración del riesgo Actividades para la evaluación y control de riesgos - Uno de los métodos para identificar, cuantificar y evaluar riesgos la estableció Via Net. works*, es una técnica completa por lo que se describen sus pasos a continuación. - Las actividades se repiten por cada módulo, proceso, actividad, software o hardware a desarrollar, instalar u operar.

Actividades para la evaluación y control de riesgos PASOS 1. Identificación del módulo, proceso o actividad la cual se van a identificar y cuantificar riesgos. 2. Descripción del modulo, proceso o actividad. 3. Identificación del(os) riesgo(s) que conlleva el desarrollo u operación del módulo, proceso o actividad.

Actividades para la estimación y control de riesgos 4. Elaboración de una lista de riesgos probables 5. Descripción en que identificado o supuesto. Num. Riesgo y su descripción consistirá Probabilidad de ocurrencia el riesgo Impacto Asignación si el de riesgo Prioridad se de atención presenta del riesgo --------------------- ----

Actividades para la estimación y control de riesgos PASO 6. Identificación y definición de la probabilidad de ocurrencia de cada riesgo. Para efectuar la identificación y definición ver la siguiente tabla de probabilidades de riesgo Valoración de la probabilidad de riesgo Concepto Probabilida d Seguro - Ocurrirá el riesgo 1. 0 Casi seguro ocurrirá el riesgo 0. 9 Probablemente ocurra el riesgo 0. 8 Puede ser que ocurra el riesgo 0. 6 Quizás ocurra el riesgo 0. 4 No lo creo que ocurra el riesgo 0. 2 Improbable que ocurra el riesgo – Casi seguro que no ocurrirá el riesgo 0. 1

Actividades para la estimación y control de riesgos PASO 7. - Definición del impacto que tendrá el modulo, proceso o actividad si ocurre el riesgo, si el riesgo se hace realidad. Para efectuar la definición del impacto ver la siguiente tabla. Valoración del impacto del riesgo Impacto en Tiempo Impacto en Costo Retraso mayor al 20% Sobre costo mayor al 10% Software Inservible Retraso de 10 al 20% Sobre costo del 7. 6% al 10% Degradación mayor funciones y/o características de 0. 8 Retraso hasta el 10% Sobre costo del 5. 1% al 7. 5% Degradación mediana de funciones y/o características 0. 6 Eliminación totales Sobre costo del 2. 6% al 5% Degradación pequeña de funciones y/o características 0. 4 Sobre costo hasta el 2. 5% Degradación mínima de funciones y/o 0. 2 holguras Eliminación holguras libres de Impacto en la Calidad desempeño Impacto Calificació n 1. 0

Actividades para la estimación y control de riesgos PASO 8. - Estimación de la severidad del riesgo. Para estimar la severidad del riesgo se aplica la siguiente formula y se compara el resultado con la Matriz de riesgos. Severidad = (probabilidad + impacto) – (probabilidad * impacto) Resultados: q q Cuando el riesgo es no severo el resultado de la formula se encuentra entre un rango de 0. 58 y 0. 88 (rango de tolerancia). Si el resultado de aplicar la formula es mayor a este rango de 0. 88 a 0. 99 se clasifican como riesgos severos. Para este tipo de riesgos se debe establecer un control o administración de riesgos para asegurar que el proyecto concluya satisfactoriamente.

Matriz de riesgos p r o b a b i l i d a d Impacto 1. 00 1. 00 0. 91 0. 92 0. 93 0. 94 0. 95 0. 96 0. 97 0. 98 0. 99 1. 00 0. 82 0. 84 0. 86 0. 88 0. 90 0. 92 0. 94 0. 96 0. 98 1. 00 0. 73 0. 76 0. 79 0. 82 0. 85 0. 88 0. 91 0. 94 0. 97 1. 00 0. 64 0. 68 0. 72 0. 76 0. 80 0. 84 0. 88 0. 92 0. 96 1. 00 0. 55 0. 60 0. 65 0. 70 0. 75 0. 80 0. 85 0. 0 0. 95 1. 00 0. 46 0. 52 0. 58 0. 64 0. 70 0. 76 0. 82 0. 88 0. 94 1. 00 0. 37 0. 44 0. 51 0. 58 0. 65 0. 72 0. 79 0. 86 0. 93 1. 00 0. 28 0. 36 0. 44 0. 52 0. 60 0. 68 0. 76 0. 84 0. 92 1. 00 0. 19 0. 28 0. 37 0. 46 0. 55 0. 64 0. 73 0. 82 0. 91 1. 00 0. 10 0. 20 0. 30 0. 40 0. 50 0. 60 0. 70 0. 80 0. 90 1. 00

Matriz de riesgos p r o b a b i l i d a d Impacto 1. 00 1. 00 0. 91 0. 92 0. 93 0. 94 0. 95 0. 96 0. 97 0. 98 0. 99 1. 00 0. 82 0. 84 0. 86 0. 88 0. 90 0. 92 F 0. 94 0. 70 0. 73 0. 76 0. 79 0. 82 0. 85 0. 88 0. 91 0. 60 0. 64 0. 68 0. 72 B 0. 76 0. 80 0. 84 0. 50 A 0. 55 0. 60 0. 65 0. 70 0. 75 0. 40 0. 46 0. 30 0. 37 0. 52 0. 58 0. 64 Riesgos no severos o 0. 70 improbables 0. 20 0. 96 0. 98 1. 00 Riesgos severos o potenciales 0. 94 0. 97 1. 00 0. 88 0. 92 0. 96 E 1. 00 0. 85 0. 0 0. 95 1. 00 0. 76 0. 82 0. 88 0. 94 1. 00 0. 79 0. 86 0. 93 1. 00 0. 76 0. 84 0. 92 1. 00 C 0. 44 0. 51 0. 58 0. 65 0. 72 0. 28 0. 36 0. 44 0. 52 0. 60 0. 68 0. 10 0. 19 0. 28 0. 37 0. 46 0. 55 0. 64 0. 73 0. 82 0. 91 1. 00 0. 10 0. 20 0. 30 0. 40 0. 50 0. 60 0. 70 0. 80 0. 90 1. 00 D A, B, C D, E y F Se identifican los riesgos con una letra y se ubican en la matriz de riesgos

Actividades para la estimación y control de riesgos PASOS

Actividades para la estimación y control de riesgos 10. Establecer un plan de acción para controlar, administrar, disminuir la probabilidad de ocurrencia o de imparto de los riesgos severos. q Para evitar que este se presente q Para controlarlo en caso de que se presente Definir el personal responsable de disminuir la probabilidad de que se presente el riesgo o su impacto. Personal que efectuará las tareas para controlar el riesgo. Definir el plan de acción de como se piensa controlar que el riesgo no se haga realidad o disminuir su impacto. Definir el personal responsable de controlar el riesgo en caso de que el riesgo se haga realidad. Definir que acciones se efectuaran en caso de que el riesgo se haga una realidad. Definir el plan de acción de como se piensa controlar el riesgo en caso de que este se haga realidad

Control de riesgos El personal responsable del control de riesgos debe estar atento del comportamiento de todos los riesgos. n n n Que los riesgos severos se mantengan controlados Que los riesgos no severos, no se conviertan en riesgos severos Que no aparezcan nuevos riesgos o establecer un mecanismo de administración. . En caso de que cambie el estado de alguno de los riesgos o aparezcan nuevos riegos se repite el proceso de evaluación de riesgos, para determinar su probabilidad de ocurrencia y su severidad. En caso necesario las actividades para el control o administración de riesgos.

Ejemplo de actividades para controlar el riesgo n n n Elaborar y seguir un plan de desarrollo. Capacitar al personal del proyecto Minimizar la burocracia. Definir las bases de requerimientos y administre los cambios. Revisar periódicamente la salud y progreso del proyecto y reconsiderar la planeación cuando sea necesario. n n n Reestimar el tamaño del proyecto, el esfuerzo y la planeación periódicamente. Definir y administrar las fases de transición. Fomentar un espíritu de equipo. Iniciar el proyecto con el personal experto necesario.

Ejemplo de actividades para controlar el riesgo n n No permitir que el personal trabaje de forma no sistemática No proponer objetivos irreales No implementar cambios sin evaluar su impacto y obtener la aprobación del comité de cambios No comprar y utilizar herramientas innecesarias n n No contratar personal innecesario, principalmente al inicio del proyecto No retrasar procesos definidos en la planeación No disminuir los estándares con el fin de acortar la planeación No suponer que documentación en demasía asegura el éxito

Ejemplo de actividades para controlar el riesgo n n Concientizar a los usuarios de la importancia de mantener la seguridad establecida para el sistema Solicitar a los usuarios que propongan ideas para disminuir el impacto de los riesgos.